faq ПО 187 ФЗ€¦ · Сочи, 20.09.2018. ОСНОВНЫЕ ЗАКОНОДАТЕЛЬНЫЕ...
TRANSCRIPT
FAQ ПО 187-ФЗ Павел Луцик, руководитель проектов по информационной безопасности Сочи, 20.09.2018
ОСНОВНЫЕ ЗАКОНОДАТЕЛЬНЫЕ АКТЫ
• 187-ФЗ от 26.07.2017 «О безопасности КИИ РФ»
• 193-ФЗ от 26.07.2017 «О внесении изменений в …ФЗ о ГТ, о связи, о защите прав ЮЛ»
• 194-ФЗ от 26.07.2017 «О внесении изменений в УК и УПК РФ…»
• 127-ПП от 08.02.2018 «Об утверждении правил категорирования ОКИИ РФ…»
• 235-й приказ ФСТЭК от 21.12.2017 «Об утверждении Требований к созданию систем безопасности ЗОКИИ РФ»
• 239-й приказ ФСТЭК от 25.12.2017 «Об утверждении Требований по обеспечению безопасности ЗОКИИ РФ»
• Проекты приказов и методических документов ФСБ по ГосСОПКА
• Финансовая сфера • Здравоохранение • Транспорт • Энергетика • Область атомной энергии • Промышленность
• Оборонная • Ракетно-космическая • Горнодобывающая • Металлургическая • Химическая
КАКИЕ СФЕРЫ ПОПАДАЮТ ПОД 187-ФЗ?
• Наука • Связь • ТЭК
КТО ЯВЛЯЕТСЯ СУБЪЕКТОМ?
Государственные органы Государственные учреждения Российский юрлица/ИП
Органы местного самоуправления Муниципальные унитарные предприятия (без права собственности на свои ИС/АСУ/ИТС)
ФОРМАЛЬНЫЕ
20.02.2018 – разработка Перечня ОКИИ
20.02.2019 – проведение категорирования ОКИИ
РЕКОМЕНДУЕМЫЕ ФСТЭК
01.07.2018 – утвердить планы мероприятий по реализации 187-ФЗ
01.08.2018 – разработка Перечня ОКИИ
01.12.2018 – провести учебные занятия
01.01.2019 – проведение категорирования ОКИИ
01.09.2019 – создание систем безопасности ЗОКИИ
СРОКИ РЕАЛИЗАЦИИ ТРЕБОВАНИЙ 187-ФЗ
ЧТО ТАКОЕ КРИТИЧЕСКИЙ ПРОЦЕСС?
ЧТО ТАКОЕ ОКИИ/ЗОКИИ?
ЗНАЧИМЫЕ ОКИИ
ОКИИ, подлежащие категорированию
Все ИС/АСУ/ИТС
• Отправить сведения о результатах категорирования в ФСТЭК по форме 236-го приказа ФСТЭК
• Обеспечить информирование НКЦКИ об инцидентах на ОКИИ
ЧТО ДЕЛАТЬ, ЕСЛИ ОКИИ ЕСТЬ?
• Организовать комиссию по категорированию
• Утвердить Акт об отсутствии объектов КИИ, подлежащих категорированию
ЧТО ДЕЛАТЬ, ЕСЛИ ОКИИ НЕТ?
№ п/п
Наименование объекта
Тип объекта
Сфера (область) деятельности,
в которой функционирует
объект
Планируемый срок категорирования
объекта
Должность, фамилия, имя, отчество (при наличии) представителя, его телефон,
адрес электронной почты (при наличии)
Информационное сообщение ФСТЭК от 24 августа 2018 г. № 240/25/3752 • Направлять в ФСТЭК перечень ОКИИ, подлежащих категорированию, по форме
ниже • Прикладывать электронные копии Перечня и Сведений (docx, xlsx) • Сообщаться в ФСТЭК о том, что у Вас нет ОКИИ или Вы не субъект КИИ -
не требуется
В КАКОМ ВИДЕ ОТПРАВЛЯТЬ ПЕРЕЧЕНЬ ОКИИ И СВЕДЕНИЯ?
…
• Бумажное письмо на имя Начальника 2 управления ФСТЭК России Шевцова Дмитрия Николаевича.
• 105066, г. Москва, ул. Старая Басманная, д. 17. • Корреспонденция принимается
законвертированной, при наличии двух реестров, с печатью организации отправителя.
• Отправляется конверт с двумя реестрами, плюс в нём конверт с самой корреспонденцией
• https://fstec.ru/kontakty
КОМУ И КУДА ОТПРАВЛЯТЬ ПЕРЕЧЕНЬ И СВЕДЕНИЯ?
ВХОДНЫЕ ДАННЫЕ • План мероприятий по
категорированию • Приказ о назначении комиссии • Методика обследования и
категорирования • Методика анализа защищенности • Опросные листы • Модель угроз и Модель нарушителя • Декларации промышленной
безопасности • Паспорта, ТЗ на ИС/АСУ/ИТС
РЕЗУЛЬТАТЫ • Отчет об обследовании • Перечни процессов и критических
процессов • Перечень ОКИИ, подлежащих
категорированию • Таблица с определением категории
значимости • Акт категорирования • Сведения о результатах категорирования • Два реестра, два конверта, флэшка/CD-
диск
АРТЕФАКТЫ КАТЕГОРИРОВАНИЯ
• Да, можно (кроме СКЗИ для ГосСОПКА)! • Альтернатива – Испытания и приемка
• Разработка ПиМИ (см. ГОСТ 34, РД 50-34.698-90) на основе Приложения 239 приказа ФСТЭК
• Проведение испытаний по требованиям по ПиМИ
МОЖНО ЛИ ИСПОЛЬЗОВАТЬ НЕСЕРТИФИЦИРОВАННЫЕ СЗИ ДЛЯ ЗАЩИТЫ ЗОКИИ?
Да! Если ОКИИ: • ИСПДн – 21-й приказ • ГИС – 17-й приказ • АСУ ТП – 31-й приказ • Для АБС – 382-П и т.д.
НУЖНО ЛИ ИСПОЛНЯТЬ ТРЕБОВАНИЯ ИНЫХ НПА?
К ГТ относятся: • Сведения о мерах по защите ЗОКИИ • Сведения об оценке степени защищенности ЗОКИИ
ФСТЭК утвердила - 01.09.2018 ФСБ обещает утвердить в ближайший месяц
КОГДА БУДУТ УТВЕРЖДЕНЫ ПЕРЕЧНИ СВЕДЕНИЙ ГТ ПО КИИ?
• За нарушение 187-ФЗ – формально пока никакой! • За нарушение ст. 174.1 УК РФ (194-ФЗ) - до 10 лет:
• Хакеры • Владельцы • Эксплуатанты • Администраторы безопасности
КАКАЯ ОТВЕТСТВЕННОСТЬ ПРЕДУСМОТРЕНА ЗА НАРУШЕНИЕ 187-ФЗ?
Методических документов разработано (ДСП): 1. Требования к подразделениям и
должностным лицам субъекта ГосСОПКа 2. Регламент информационного
взаимодействия 3. Методические рекомендации по
обнаружению КА на информационные ресурсы
4. Методические рекомендации по установлению причин и ликвидации последствий КА
5. Методические рекомендации по проведению мероприятий по оценке защищенности от КА
6. Варианты организации защищенного канала
КАКОВ СТАТУС РАЗРАБОТКИ ДОКУМЕНТОВ ФСБ ПО ГосСОПКА?
из 6 приказов утверждены и зарегистрированы в Минюсте
3 6
https://plutsik.blogspot.com/
ГДЕ ПОЧИТАТЬ ПРО БЕЗОПАСНОСТЬ КИИ?
КАНАЛЫ: • «КИИ 187-ФЗ» • «Безопасность АСУ ТП»
ГРУППЫ: • «Безопасность КИИ» • «Кибербезопасность АСУ ТП»
